Gearbest nei guai: dati dei clienti a rischio hacker

Hai mai comprato qualcosa su Gearbest? Bene, anche la tua email potrebbe essere finita nel calderone di quelle interessate ad un attacco/violazione hacker.

L'azienda utilizzata da molte società di elettronica di Shenzhen per commercializzare prodotti in Occidente, è stata accusata di aver lasciato i propri database non protetti, rendendo così visibili a chiunque le informazioni su carrelli e dati degli acquirenti (o presunti tali). Il ricercatore di sicurezza Noam Totem ha individuato la vulnerabilità a bordo di un server usato da Gearbest, ElasticSearch, basato su Lucene, con capacità Full Texte  supporto ad architetture distribuite.

Secondo il report di Totem sul sito VPNMentor, i dettagli trapelati includevano nomi, indirizzi, numeri di telefono, e-mail, elementi sugli ordini cliente comprese linee di prodotti, importi e cifre delle carte di credito, tutti mantenuti con crittografia minima o nulla. Alcuni record ospitavano addirittura numeri di passaporto e carte di identità, dati altamente sensibili e che potrebbero essere usati per scopo clonazione e spear phishing.

Gearbest, che aveva subito una violazione nel 2017, si è espansa in modo aggressivo negli ultimi anni, aprendo magazzini all'interno dell'Unione Europea, nel tentativo di aggirare le tasse di importazione che vengono addebitate sugli articoli spediti dalla Cina. Tuttavia, la notizia odierna potrebbe causare ben più di un problema all'organizzazione, che rischia prima di tutto una pesante multa per il GDPR (che prevede sanzioni fino al 4% del fatturato globale) e anche un danno di immagine per nulla banale, soprattutto nei confronti dei consumatori del vecchio continente, sempre alquanto restii a spedire i loro euro oltreoceano, con spedizioni spesso lunghe e in assenza di forme di garanzia valevoli da noi (seppur qualcosa sia cambiato con gli accordi tra fornitori).

Anche l'azienda madre di Gearbest, Globalegrow, pare abbia difficoltà simili con il sito, tali da permettere ad uno smanettone di prelevare parti dei databse. E pure in questo caso, i ricercatori hanno dovuto evidenziare l'accaduto, senza che nessuno se ne fosse accorto o avesse agito prima. Insomma c'è una cosa sola da fare per difendersi: cambiare password e assicurarsi che la stessa chiave segreta non sia stata utilizzata per altri servizi. Il motivo? Una volta che hacker e cracker hanno tra le mani una combinazione di indirizzi email e password associate, è un attimo provarle per altre piattaforme perché, si sa, usare la stessa è un vantaggio. Anche per i ladri.